Procore pour le secteur public (iOS)

AC-2(a), AC-2(b), AC-2(c), AC-2(d), AC-2(e), AC-2(f), AC-2(g), AC-2(h), AC-2(i), AC-2(j), AC-2(k), AC-2(l)

Le client est exclusivement responsable de la gestion des comptes de l’entreprise au sein de PfG. Lors de la signature d’un contrat, le client doit créer un compte à l’aide d’une adresse e-mail et désigner un Administrateur. L’accès à PfG est étroitement contrôlé par des groupes d’utilisateurs définis par le client, qui sont composés d’autorisations précises (par exemple, responsable du recrutement, recruteur, groupes d’administrateurs).

Le client doit établir les conditions d’appartenance à un groupe et à un rôle et est responsable de la création, de la gestion, de la modification, de la désactivation et de la suppression des comptes ultérieurs pour les utilisateurs, les fournisseurs et les partenaires individuels, conformément aux politiques et procédures de leur organisation. Le client est responsable de l’autorisation d’accès en fonction des autorisations valides, de l’utilisation prévue du système et d’autres attributs définis par l’organisation.

Enfin, le client assume l’entière responsabilité du suivi et de l’audit de l’activité du compte, notamment :

• Effectuer des examens des comptes des utilisateurs par rapport aux exigences de l’organisation au moins une fois par an.

• Élaborer et mettre en œuvre des processus pour s’assurer qu’ils sont avisés des changements de compte d’application (résiliation, transfert/besoin de savoir) dans des délais stricts (p. ex., 24 heures lorsque les comptes ne sont plus nécessaires, 8 heures lorsque les utilisateurs sont résiliés ou transférés).

• Aligner les processus de gestion des comptes sur les procédures de cessation d’emploi et de transfert du personnel de l’organisation.

AC-2(1), AC-2(4), AC-2(5), AC-2(7)(a), AC-2(7)(b), AC-2(7)(c), AC-2(7)(d), AC-2(9), AC-2(12)(a), AC-2(13)

Le client est seul responsable de la gestion du cycle de vie et de la sécurité de tous les comptes d’utilisateurs PfG au sein de sa location, conformément aux politiques de son organisation.

• Création et administration des comptes: Le client est responsable de la création des comptes PfG pour les utilisateurs individuels (y compris les fournisseurs et les partenaires) et doit établir et administrer tous les comptes d’utilisateurs, en particulier les comptes à privilèges, conformément au schéma d’accès basé sur les rôles de l’organisation. Ils sont également responsables de la mise en place du processus de réémission des identifiants de compte partagé et de groupe lorsque des personnes sont supprimées du groupe.

• Maintenance et cycle de vie du compte: le client doit modifier, désactiver et supprimer les comptes, y compris ceux des utilisateurs privilégiés, conformément aux politiques et procédures de son organisation. Ils sont encouragés à utiliser des mécanismes automatisés pour soutenir ces fonctions de gestion.

• Surveillance et contrôle: Le client est entièrement responsable de la surveillance de l’utilisation de tous ses comptes PfG. Cela inclut la surveillance de l’utilisation des comptes d’administrateur et la surveillance des actions d’activation, de désactivation et de suppression des comptes au sein de l’application.

• Réponse aux incidents à haut risque: le client doit suivre son processus interne de traitement et de signalement des incidents et est spécifiquement responsable de la désactivation des comptes pour les personnes considérées comme présentant des risques importants pour son organisation dans un délai d’une heure.

• Gestion des sessions: il incombe au client de demander aux utilisateurs de se déconnecter conformément à leur politique de contrôle d’accès interne.

AC-3

Le client est responsable de l’établissement et de la maintenance de la stratégie d’accès logique, de la définition des rôles de l'utilisateur et des privilèges de l’utilisateur (comme la garantie du moindre privilège et de la séparation des tâches), ainsi que de l’attribution et de la gestion actives de ces rôles au personnel.

AC-5(a), AC-5(b)

Le client est responsable de la définition et de la documentation de la séparation des tâches (SoD) pour les personnes autorisées à accéder à l’application PfG au sein de son organisation. Le contrôle d’accès est mis en œuvre par le client par le biais de rôles personnalisés conçus pour garantir l’application de la technologie SoD.

AC-6

Il est de la responsabilité du client de définir les autorisations d’accès PfG pour prendre en charge le principe du moindre privilège au sein de son organisation.

AC-8(a), AC-8(b)

Lorsqu’il utilise la fédération d’identités et l’authentification unique (SSO) pour se connecter à PfG, le client doit s’assurer que ses systèmes LDAP (Lightweight Annuaire Access Protocols) et/ou Active Annuaire (AD) affichent un message ou une bannière de notification d’utilisation du système conforme. En outre, le client doit s’assurer que le message ou la bannière de notification répond aux exigences FedRAMP et reste à l’écran jusqu’à ce que les utilisateurs reconnaissent les conditions d’utilisation et prennent des mesures explicites pour se connecter ou accéder au système.

AC-19(a), AC-19(b), AC-19(5)

En ce qui concerne l’application Mobile Procore for Government, le client est responsable de l’application de toutes les politiques mobile appareil (y compris celles applicables à ses sous-traitants) afin de garantir une utilisation responsable.

CA-6(a), CA-6(b), CA-6(c), CA-6(d), CA-6(e)

Le client ou l’organisme fédéral opérant dans l’environnement Procore pour le gouvernement détient la responsabilité finale de l’autorisation du fonctionnement du système.

Il s’agit de :

• Désignation de l’autorité: Chaque client est responsable de la désignation de son propre ordonnateur.

• Acceptation des risques et administration fiscale australienne: L’OC examine les résultats de l’évaluation de la sécurité (publiée dans le rapport d’évaluation de la sécurité, ou SAR), examine le plan d’action et les jalons (POA&M) et détermine si les vulnérabilités connues restantes présentent un niveau de risque acceptable pour les opérations de l’organisme avant d’émettre une administration fiscale australienne.

• Révision des modifications: l’AOP du client est également responsable de l’examen de toutes les modifications importantes proposées par Procore, puis de la révision et de l’approbation de toutes les mises à jour du lot FedRAMP sur la base de tests supplémentaires effectués par le 3PAO.

IA-2(1), IA-2(12)

Le client est responsable de la sélection d’un fournisseur d’identité (IdP) qui prend en charge l’authentification multifacteur (MFA), y compris la prise en charge des cartes à puce matérielles telles que la carte de vérification d’identité personnelle (PIV) ou la carte d’accès commun (CAC). Les clients de l’agence qui sont tenus d’utiliser ces cartes à puce matérielles sont responsables de l’intégration de la carte PIV ou du CAC à l’environnement Procore for Government, généralement en utilisant la fédération d’identités via Security Assertion Markup Language (Security Assertion Markup Language) avec leur capacité d’authentification unique.

IA-4(a), IA-4(b), IA-4(c), IA-4(d)

Le client est responsable de l’approbation de l’accès avant de fournir des ID d’utilisateur uniques à sa base d’utilisateurs. Plus précisément, le client doit s’assurer que les identifiants d’utilisateur sont attribués aux personnes de manière sécurisée et qu’ils ne peuvent pas être réutilisés pendant au moins deux ans.

IA-5(a), IA-5(b), IA-5(d), IA-5(f), IA-5(g), IA-5(h), IA-5(i), IA-5(1)(a), IA-5(1)(b), IA-5(1)(c), IA-5(1)(d), IA-5(1)(e), IA-5(1)(f), IA-5(1)(g), IA-5(1)(h), IA-5(6)

Le client est responsable de l’approbation de l’accès avant de fournir des ID d’utilisateur uniques à sa base d’utilisateurs. Plus précisément, le client doit s’assurer que les identifiants d’utilisateur sont attribués aux personnes de manière sécurisée et qu’ils ne peuvent pas être réutilisés pendant au moins deux ans.

• Configuration et distribution des informations d’identification: Le client est responsable de l’établissement du contenu initial de l’authentificateur et de la vérification de l’identité de l’utilisateur avant de distribuer les identifiants d’utilisateur et les mots de passe temporaires à sa base d’utilisateurs. Ils doivent également établir et mettre en œuvre des procédures administratives pour la distribution initiale des authentificateurs, pour les authentificateurs perdus, compromis ou endommagés, et pour la révocation des authentificateurs des clients.

• Configuration et force du mot de passe (IA-5): Les clients sont responsables de la configuration des exigences en matière de mot de passe du application utilisateur client conformément aux directives de leur agence. Ils doivent permettre à l’utilisateur de choisir des mots de passe longs et des phrases de passe (y compris les espaces et tous les caractères imprimables) et utiliser des outils automatisés pour aider l’utilisateur à choisir des authentificateurs de mots de passe forts.

• Gestion des mots de passe compromis: le client est responsable de la maintenance et de mettre à jour d’une liste de mots de passe couramment utilisés, attendus ou compromis, et de la vérification que les mots de passe nouveaux ou mis à jour ne figurent pas sur cette liste.

• Sécurité et transmission: Lorsqu’il utilise son propre fournisseur d’identité (IdP), le client est responsable de la protection du contenu de son authentificateur IdP contre toute divulgation et modification non autorisées, et de la transmission et du stockage uniquement des authentificateurs cryptés.

• Gestion des sessions et des comptes: les clients sont responsables de la configuration de la politique d’expiration du mot de passe pour leur propre agence, de la configuration du délai d’expiration de la session et du nombre autorisé de tentatives d’ouverture de session infructueuses. En outre, ils doivent exiger la sélection immédiate d’un nouveau mot de passe lors de la récupération du compte et exiger des individus qu’ils prennent des mesures de sécurité spécifiques pour protéger tout authentificateur qu’ils configurent via leur propre IdP.

IA-8, IA-8(1), IA-8(2)(a), IA-8(2)(b), IA-8(4)

Les clients sont responsables de s’assurer que les mots de passe sont obscurcis pendant le processus d’authentification afin de protéger les informations contre toute exploitation ou utilisation possible par des personnes non autorisées.

IA-8, IA-8(1), IA-8(2)(a), IA-8(2)(b), IA-8(4)

Le client est responsable de l’intégration des comptes Procore for Government avec la capacité d’authentification unique (SSO) de son agence à l’aide de la fédération d’identités de son IdP (IdP).

Pour les clients de l’agence mandatés pour utiliser une carte à puce matérielle, le système prend en charge l’intégration de cette carte (telle qu’une carte PIV ou CAC) avec l’authentification unique via la fédération d’identité Security Assertion Markup Language. Le client est responsable de la réussite de l’intégration de la carte PIV ou du CAC avec l’environnement Procore for Government.

L’IA-11

Les clients sont responsables de la configuration de leur fournisseur d’identité (IdP) pour s’assurer que les utilisateurs sont réauthentifiés après des périodes d’inactivité et pour appliquer strictement les délais d’expiration de session obligatoires, comme l’exige la politique de sécurité.

IR-6(a), IR-6(b)

Le client est responsable du signalement de tous les incidents sécurité suspects ou événements système à Procore par e-mail à l’adresse sécurité@procore.com.

De plus, les clients du gouvernement fédéral doivent se conformer à leurs obligations de déclaration distinctes, ce qui comprend le signalement des incidents à la CISA , comme l’exige la note de service M-07-16 de l’OMB.

IR-9(b)

Les clients sont responsables de l’identification des informations spécifiques impliquées dans la contamination du système d’information et d’informer Procore de toute fuite potentielle d’informations dans leur environnement locataire via des méthodes de communication établies dans les accords de service cloud.

RA-2(c)

Chaque client gouvernemental qui utilise le système PfG est responsable de la désignation d’un AOP. L’AO doit examiner le SSP, qui comprend la catégorisation de sécurité déterminée, dans le cadre du lot FedRAMP pour le système PfG et autoriser l’utilisation du système par son organisation.

SA-4(10)

Les clients peuvent intégrer PfG à leur authentification unique via Security Assertion Markup Language 2.0. Il est de la responsabilité des clients d’utiliser uniquement les identifiants PIV ou CAC figurant sur la liste des produits approuvés par la norme FIPS 201.